别慌！黑客没你想的那么神：网络安全入门第一课

上个月我表妹在微信上哭着给我打电话，说她的QQ号被盗了，所有好友都收到了她发的“我出事了借500块急用”的消息，她妈刚给她转了账，要不是打电话确认，差点就被骗了。她蹲在宿舍门口哭，说怎么也想不通，自己就是个普通大学生，又没多少钱，黑客盗她号干嘛？你是不是也这么觉得？觉得黑客都是电影里那种戴兜帽、躲在黑屋子里敲两下键盘就能黑进五角大楼的高智商怪胎，普通人根本入不了他们的眼？要是你这么想，那可就太危险了。

2023年央视新闻曾报道过这样一件事：56岁的张阿姨退休在家，平时就用微信和老同事聊聊天、给孙子发发红包。某天她突然发现自己的微信登不上了，没过多久就有警察找上门，说她的微信被人用来发送诈骗信息，已经有3个老人被骗了共计12万。张阿姨当场就懵了，自己连诈骗短信都认不出来，怎么可能会去骗别人？后来才知道，她的微信密码是生日，早就被“脚本小子”用工具批量破解了——所谓的“脚本小子”，根本不是什么高智商黑客，就是会用网上现成的盗号工具，照着教程点两下就能批量盗号的普通人，甚至很多都是十几岁的中学生。张阿姨的案例不是个例，中国互联网络信息中心（CNNIC）2024年发布的《中国互联网络发展状况统计报告》显示，截至2023年12月，我国遭遇过网络诈骗的网民占比高达21.2%，平均每起诈骗案件的损失超过2300元，其中70%以上的攻击目标都是像你我这样的普通个人用户。

很多人对网络安全的第一个误区就是：“我没什么钱，也没什么重要信息，黑客看不上我。”可实际上，攻击你的人根本不在乎你有多少钱，他们只看你的账号有没有“利用价值”。你的QQ号有500个好友，就能卖几十到上百块，拿去发广告、发诈骗信息；你的微信能登录支付，就能转手卖几百块，甚至被用来洗钱；你家的WiFi密码是“12345678”，就能被用来下载非法内容、攻击其他网站，最后警察找上门，你还要背锅。第二个误区是：“只有大公司、政府机构才会被攻击，我个小用户没事。”可事实上，攻击大公司的成本极高：腾讯、阿里这样的互联网公司，光安全团队就有几千人，每年在安全上的投入都是十亿级，攻击他们一旦被发现，面临的可能是牢狱之灾。而攻击普通人的成本几乎为零：网上下载个钓鱼工具，花10块钱买一万个手机号，批量发钓鱼短信，总能中几个，就算只有1%的人上当，收益也有好几万，风险几乎为零。第三个误区是：“我从来不点陌生链接，也不随便下软件，肯定不会出事。”可你不知道的是，现在很多攻击根本不需要你主动点链接：你扫了外卖商家贴的假二维码、连了商场的免密WiFi、甚至只是点了个陌生人的微信头像，都可能已经悄悄中了木马，你的所有操作、输入的密码、甚至摄像头拍到的画面，都在坏人的监控之下。

在正式开始之前，我们先搞清楚三个最基本的概念，保证你哪怕从来没接触过网安，也能一听就懂。第一个概念：什么是网络安全？说白了，就是你在数字世界里的“锁门习惯”。你现实里出门会锁门，会给钱包上拉链，不会随便把家门钥匙给陌生人，网络安全就是把这些习惯搬到网上：给你的数字账号上锁，不随便把你的“数字钥匙”（密码、验证码）给陌生人，不让陌生人随便进你的“数字家门”（你的手机、电脑、社交账号）。第二个概念：什么是攻防？攻就是坏人想方设法撬你的锁，防就是你想法子把锁弄牢，还有定期检查锁有没有坏。比如你家的门锁坏了，你找个开锁师傅来试试，看看能不能撬开，提前修好，这就是“攻”的一种——当然是你自己允许的攻，合法的攻。第三个概念：什么是渗透测试？就是我们常说的“白帽子黑客”干的事：你花钱请专业的安全人员，像真的坏人一样，试试能不能攻破你的系统、你的账号，提前找到漏洞修好，避免真的被坏人攻击。比如很多互联网公司都会搞“漏洞奖励计划”，你如果能找到他们系统的漏洞，不仅不会被处罚，还能拿几千到几十万的奖金，这就是正规的渗透测试。

为了让你更直观地理解普通人遭遇网络攻击的常见路径，我们画了下面这张流程图： ```mermaid graph LR A[攻击者发送钓鱼信息/恶意链接/蹭网抓包] --> B[用户点击链接/连陌生WiFi/下载恶意软件] B --> C[攻击者获取账号密码/植入木马] C --> D[账号被盗用/财产被盗/信息泄露] D --> E[用户承担财产损失/法律责任/名誉受损] ``` 这张图里每一步，都是我们普通人日常会遇到的场景：你可能只是收到了一个“快递理赔”的短信，连了一个商场的免密WiFi，扫了个领红包的二维码，就完成了从A到B的步骤，后面的损失可能就接踵而至。

我前阵子还遇到一个真实的案例：我楼下的邻居李姐，平时喜欢在小区业主群里聊天，某天有个头像和物业经理一模一样的人加她，说“现在物业费可以线上交，我给你发个链接，你填一下房号和银行卡号就行”，李姐没多想就填了，还输了验证码，没过五分钟就收到银行卡被转走9800块的短信。她后来哭着说，自己平时根本不点陌生链接，就是看头像和名字都是物业的，才没多想。这种攻击就叫“社会工程学攻击”，根本不需要什么高深的技术，就是利用你的信任、你的贪小便宜的心态，骗你主动把密码、验证码给出去，比撬锁成本低多了。

还有个更常见的场景：你家WiFi突然变慢了，刷个视频都要缓冲半天，你以为是运营商的问题，实际上可能是你家WiFi密码太简单，已经被邻居、甚至路过的陌生人蹭了。很多人觉得蹭网就是占点小便宜，网速慢一点而已，实际上风险大得多：蹭网的人可以用你家的网络下载非法内容，最后运营商找上门，罚的是你的钱；更狠的是，他可以抓你家的网络数据包，你登录网银、输入支付密码的时候，数据如果没有加密，他直接就能拿到你的密码，甚至能偷偷往你家的网络里植入木马，监控你所有的操作。2022年就有个新闻，杭州的王先生家的WiFi被蹭，蹭网的人用他的IP攻击了政府网站，最后警察找上门，王先生配合调查了半个月，才洗清嫌疑。

你可能会说，这些都是小概率事件，我平时注意点就不会遇到。可实际上，现在的攻击早就不是“精准打击”了，是“广撒网”：黑客用工具批量发几百万条钓鱼短信，哪怕只有千分之一的人上当，也有几千个受害者，总有一个是你。就像你在街上走，不会有人特意抢你，但你如果把钱包露在口袋里，总会有小偷顺手牵羊。

现在你可以花5分钟做下面的小测试，看看你的网络安全意识到底在什么等级，有没有踩过安全坑： > 📌 网络安全意识等级测试（共5题，每题4分，总分20分） > 1. 你的所有社交、支付、工作账号的密码是否完全不同？ > A. 全是同一个密码走天下 B. 只有几个重要的不一样，其他都一样 > C. 大部分都不一样，只有少数几个重复 D. 全都不一样，每个账号都有独立密码 > 2. 在商场、咖啡店、火车站看到信号很好的免密WiFi，你会直接连吗？ > A. 只要信号好就直接连，不用白不用 B. 要输手机号验证码才连 > C. 只连商家官方明确标注的免费WiFi D. 从来不在外面连公共WiFi，都是用自己手机流量 > 3. 收到“您的快递丢失，点击链接理赔”“您的中奖信息已过期，点击领取”的短信，你会？ > A. 立刻点链接填信息，怕错过理赔/奖品 B. 先上官方APP查快递状态/活动真实性再决定 > C. 直接打快递官方电话/活动主办方电话核实 D. 直接删掉，完全不点 > 4. 下载手机APP时，你会？ > A. 随便搜个链接就下，哪个方便下哪个 B. 只去手机应用商店下载 > C. 看朋友推荐就下，不管来源 D. 不仅去应用商店，还会核对开发者信息是不是官方 > 5. 你的微信/QQ/支付宝账号是否开启了登录保护、二次验证？ > A. 没开过，不知道有这个功能 B. 知道但觉得麻烦，没开 > C. 开了登录保护 D. 不仅开了二次验证，还绑定了安全设备，异地登录会收到提醒

评分标准：

• 5-8分（青铜）：你的网络安全意识几乎为零，大概率已经踩过安全坑，建议立刻把本章的内容认真读三遍，不然下次被骗的可能就是你。
• 9-12分（白银）：你有一点安全意识，但还有很多漏洞，比如密码重复、随便点陌生链接，这些习惯随时可能让你踩坑。
• 13-16分（黄金）：你已经有不错的安全意识，但偶尔还是会贪小便宜、嫌麻烦，忽略一些安全隐患。
• 17-20分（钻石）：你的安全意识已经超过90%的普通用户，只要保持好习惯，基本不会遭遇网络攻击。

> 🤔 思考题：你上次修改重要账号的密码是什么时候？你的密码里有没有包含你的生日、手机号、名字这类公开信息？

如果你测出来是青铜或者白银，也不用慌，网络安全不是什么高深的技术，不是什么只有高智商的人才能学会的东西，它就是一堆“出门锁门”一样的小习惯：你把这些习惯养成了，就能避开90%以上的网络攻击。下一章我们就从最基础的密码设置开始，教你设置既好记又安全的密码，再也不怕账号被盗。

其实你回头看看，网络安全从来都不是什么远在天边的事：你早上起床刷朋友圈看到的“好友借钱”消息，中午点外卖扫的二维码，晚上回家连的WiFi，甚至你购物时填的收货地址、支付时输的密码，都是网络安全的范畴。它不是黑客的专利，是每个普通人的“数字生活必修课”。你可能会觉得“我哪有那么多时间学这些”，可你想啊，你现实里出门会锁门，会看路边的井盖有没有坏，会注意不要吃变质的东西，这些都是你花了几秒钟养成的习惯，就能避免大的损失。网络安全也是一样，只要你花几分钟养成几个小习惯，就能避免几千几万块的损失，还有可能避免背上官司、名誉受损的麻烦。

很多人觉得“我搞不懂那些技术，肯定学不会网络安全”，其实根本不是，你不需要会写代码，不需要懂什么服务器、数据库，你只需要知道什么该做、什么不该做，就够了。就像你开车不需要会修发动机，只要会看红绿灯、会系安全带，就能安全上路。这本书的所有内容，都是写给普通人看的，不会出现任何你看不懂的术语，所有的技巧都是你看了就能用、用了就有效的。

现在你可以环顾一下你的周围：你的手机里是不是存着银行卡密码、身份证照片？你的电脑是不是开着自动登录？你的社交账号是不是和很多游戏、购物网站绑定了？这些你平时觉得再正常不过的习惯，其实都可能成为坏人攻击你的突破口。从下一章开始，我们就一个一个把这些突破口堵上，让你在数字世界里，也能像在现实里一样安心。

你印象里的黑客是不是都是电影里那种能对着键盘敲两下就黑进五角大楼、偷走机密文件的高智商怪胎？甚至觉得他们都是一群不食人间烟火的极客，根本懒得搭理普通人？可真实的黑客生态，远没有你想的那么高大上，甚至大部分攻击普通人的“黑客”，根本算不上真正意义上的黑客。2022年江苏无锡警方破获的一起特大盗号案里，主犯是个刚满16岁的中学生小周，初中毕业就没再上学，平时喜欢在网上刷黑客相关的短视频。某天他花50块钱买了个所谓的“QQ盗号工具包”，卖家还附送了“一对一教程”，他照着教程点了两下，输入了1000个从网上买来的手机号，不到10分钟就盗出了200多个QQ号。他把这些号以每个20块的价格卖给诈骗团伙，短短3个月就赚了12万，直到警察找上门，他还懵懵地说：“我就是照着教程点了几下，我以为这最多算恶作剧，没想到是犯法。”^[2]

像小周这样的人，在攻击普通人的“黑客”里占了90%以上，他们根本不懂什么复杂的代码，也不会写什么攻击程序，就是会用网上现成的工具，照着教程批量操作，唯一的“技术”就是胆子大、贪心。而真正懂技术的高智商黑客，根本不屑于盗普通人的号——攻击大公司的收益更高，名气更大，对他们来说才有吸引力。可恰恰是这些“脚本小子”，给普通人带来的损失占了所有网络攻击损失的80%以上，因为他们攻击成本极低，风险极小，就算被抓了，因为是未成年人，或者违法所得不多，往往也不会判重刑。

> 💡 电子版侧边栏：你的账号在黑市值多少钱？ > 很多读者会问：“我就一个普通大学生，账号里也没钱，黑客盗我的号有什么用？”我给你列个黑市账号的公开价格表，你就知道自己有多“有价值”了： > | 账号类型 | 黑市价格 | 用途 | > |---------|---------|------| > | 100-500好友的QQ/微信号 | 50-200元/个 | 发广告、发诈骗信息、拉群 | > | 带支付功能的实名微信号 | 300-800元/个 | 直接转账、洗钱、诈骗 | > | 实名认证的抖音/快手号 | 200-500元/个 | 发虚假广告、直播带货诈骗 | > | 存有身份证、银行卡照片的账号 | 500-1000元/个 | 办假证、洗钱、诈骗 | > | 破解的家庭摄像头账号 | 10-50元/个 | 偷窥、敲诈勒索 | > | 批量手机号信息 | 10元/万条 | 发钓鱼短信、诈骗电话 | > 你看，你一个普普通通的微信号，可能就有几百块的价值，比你现实里卖个旧手机还值钱。而攻击你的成本几乎为零：花10块钱买1万条手机号，花50块钱买个盗号工具，批量发钓鱼短信，只要1%的人上当，就能赚几千块，风险几乎为零。这也是为什么坏人总盯着普通人的原因——性价比太高了。

很多人对网络安全的第二个误区是：“只有大公司、政府机构才会被攻击，我个小用户没事。”为了让你更直观地理解这个误区的错误性，我们画了下面这张成本收益对比图： ```mermaid bar title 不同攻击目标的成本与收益对比（单位：元） x-axis 攻击目标 y-axis 金额 bar 攻击普通用户 50 5000 bar 攻击中小网站 5000 0 bar 攻击大公司 1000000 0 ``` 这张图非常直观：攻击普通人的成本只有几十块，收益却有几千块，风险几乎为零；而攻击大公司的成本是百万级，收益为零，还几乎必然被抓。所以坏人当然会选择攻击普通人，这也是为什么你觉得自己没钱就安全，其实完全是错觉——在坏人眼里，你就是个性价比极高的目标。

在正式开始之前，我们再深入讲一下三个基础概念，帮你彻底搞懂什么是网络安全、攻防、渗透测试，保证你哪怕从来没接触过网安，也能一听就懂。第一个概念：什么是网络安全？之前我们说过是数字世界的“锁门习惯”，其实更准确的定义是：网络安全是保护你的数字资产（账号、财产、信息、设备）不被未经授权的访问、使用、泄露、破坏的一系列措施的总和。你的数字资产包括什么？你的社交账号、网银、支付宝、微信里的钱，你手机里的照片、通讯录，你电脑里的工作文件，甚至你家的智能摄像头、智能门锁，都是你的数字资产。网络安全就是保证这些东西不会被别人偷、不会被别人乱用、不会被别人删掉。第二个概念：什么是攻防？攻就是“攻击者想方设法绕过你的安全措施，拿到你的数字资产或者破坏你的系统”，防就是“你采取措施阻止攻击者拿到你的数字资产”。比如你设了一个复杂密码，攻击者用工具试了10万次都没试出来，这就是防成功了；你开了二次验证，攻击者拿到了你的密码，但是没有你的验证码，登不上你的账号，这也是防成功了。第三个概念：什么是渗透测试？就是我们常说的“白帽子黑客”干的事：在获得目标所有者书面授权的前提下，模拟真实攻击者的手法，尝试绕过安全措施，找到系统的漏洞，然后提交给所有者修复，整个过程完全合法，目的是提升系统的安全性。比如很多互联网公司都会搞“漏洞奖励计划”，你如果能找到他们系统的漏洞，不仅不会被处罚，还能拿几千到几十万的奖金，这就是正规的渗透测试。很多人觉得渗透测试就是黑客攻击，其实完全不是，合法的渗透测试是帮人找漏洞、提升安全的，和黑客攻击有本质区别——有没有得到授权，是不是以提升安全为目的。

为了让你更直观地理解这三个概念，我们把数字世界和现实里的小区做个类比，你一看就懂：

• 你的社交账号、网银、手机，就是你家的房子，你设的密码就是家门钥匙，你开的二次验证就是门上的第二道锁。
• 坏人（黑帽子黑客）就是小区里的小偷，想方设法撬你家的门，偷你的东西，或者用你家的房子干坏事（比如用你家的网络攻击别人）。
• 帮你修锁、抓小偷的安全人员（白帽子黑客）就是小区的保安，平时巡逻帮你防小偷，你家锁坏了帮你修，还会定期找开锁师傅来试试你家的锁牢不牢。
• 渗透测试就是保安找的开锁师傅：你同意他进你家，让他试试能不能撬开你的锁，提前找到漏洞修好，避免真的被小偷撬开。
• 脚本小子就是小区里那些只会用撬棍的小偷，没什么技术，就是胆子大，偷一家是一家，偷完就跑。
• 社会工程学攻击就是小偷假装是物业的，骗你主动把家门钥匙给他，根本不需要撬锁。

你看，网络安全根本不是你想的那么高深，就是现实里“锁门、防小偷”的那些事，搬到网上而已。你现实里不会随便给陌生人开门，不会把家门钥匙放在门口的地垫下面，网上也一样：不会随便点陌生链接，不会把密码告诉别人，不会随便连陌生的WiFi，这就是网络安全。

之前我们画了普通人遭遇网络攻击的常见路径，现在我们可以把这张图补充得更完整，加入更多普通人会遇到的场景： ```mermaid graph LR A[攻击者发送钓鱼信息/恶意链接/假WiFi/社工诈骗] --> B[用户点击链接/连陌生WiFi/下载恶意软件/泄露验证码] B --> C[攻击者获取账号密码/植入木马/直接转账] C --> D[账号被盗用/财产被盗/信息泄露/设备被控制] D --> E[用户承担财产损失/法律责任/名誉受损/隐私被泄露] ``` 这张图里的每一步，都是我们普通人日常会遇到的场景：你可能只是收到了一个“快递理赔”的短信（A），连了一个商场的免密WiFi（B），扫了个领红包的二维码（B），就完成了从A到B的步骤，后面的损失可能就接踵而至。

我楼下的邻居李姐遇到的冒充物业的诈骗，就是典型的社会工程学攻击，根本不需要什么高深的技术，就是利用你的信任、你的贪小便宜的心态，骗你主动把密码、验证码给出去，比撬锁成本低多了。2023年还有个更离谱的案例：广州的黄先生喜欢在朋友圈晒自己孩子的学校、晒自己的机票行程，某天他出差的时候，有个骗子冒充他孩子的班主任，给他打电话说“孩子在学校摔伤了，要交手术费”，黄先生急得没多想就转了5万块，后来才知道，骗子就是看他朋友圈晒了孩子的学校和行程，知道他出差不在家，才敢冒充班主任骗他。你看，这种攻击根本不需要技术，只要会看朋友圈就行。

还有个更常见的场景：你家WiFi突然变慢了，刷个视频都要缓冲半天，你以为是运营商的问题，实际上可能是你家WiFi密码太简单，已经被邻居、甚至路过的陌生人蹭了。很多人觉得蹭网就是占点小便宜，网速慢一点而已，实际上风险大得多：蹭网的人可以用你家的网络下载非法内容（比如儿童色情、暴力视频），最后运营商找上门，罚的是你的钱；更狠的是，他可以抓你家的网络数据包，你登录网银、输入支付密码的时候，数据如果没有加密，他直接就能拿到你的密码，甚至能偷偷往你家的网络里植入木马，监控你所有的操作。2022年就有个新闻，杭州的王先生家的WiFi密码是“12345678”，被一个路过的小偷蹭了，这个小偷用他的IP攻击了政府网站，最后警察找上门，王先生配合调查了半个月，才洗清嫌疑，耽误了半个月的生意，损失了好几万。

你可能会说，这些都是小概率事件，我平时注意点就不会遇到。可实际上，现在的攻击早就不是“精准打击”了，是“广撒网”：黑客用工具批量发几百万条钓鱼短信，哪怕只有千分之一的人上当，也有几千个受害者，总有一个是你。就像你在街上走，不会有人特